Cillian Kieran, grunnlegger og administrerende direktør i Ethyca – Intervju-serie

Cillian Kieran, grunnlegger og administrerende direktør i Ethyca, er en serialentrepreneur og privatlivsingeniør med mer enn to tiårs erfaring med å bygge dataintensive teknologiselskaper. Før han grunnla Ethyca i 2019, ledet han digitalbyrået CKSK i ti år og grunnla deretter BrandCommerce, med bakgrunn i softwareingeniørarbeid, brukeropplevelse og store bedriftsdataprogrammer. I Ethyca har Kieran fokusert på å transformere privatliv og datastyring fra en hovedsakelig manuell overholdelsesfunksjon til infrastruktur som kan integreres direkte i hvordan organisasjoner bygger og driver teknologi.

Ethyca utvikler pålitelig datainfrastruktur som hjelper bedrifter med å oppdage følsom informasjon, håndtere samtykke, innfri privatlivsforespørsler og påtvinge regler for hvordan data brukes over konvensjonelle applikasjoner og kunstig intelligenssystemer. Plattformen er bygget rundt Fides, et åpent styringsspråk som skaper en konsekvent ramme for å definere, gjennomføre og påtvinge tillatte databruk over systemer, API-er og kunstig intelligensrørledninger. Selskapet lanserer nå Astralis, et kunstig intelligensstyringslag som kombinerer automatiserte regulatoriske vurderinger med formålbasert tilgangskontroll, som gjør det mulig for organisasjoner å bestemme hvorfor modeller og agenter får tilgang til bestemt data og påtvinge disse tillatelsene i sanntid. Ethyca hevder at plattformen kan redusere vurderinger som tradisjonelt krever 40 til 60 timers manuelt arbeid til omtrent 20 til 40 minutter, og hjelpe bedrifter med å utvide kunstig intelligensutviklingen uten å la styringsprosessene bli en flaskehals.

Du grunnla flere selskaper før du lanserte Ethyca i 2019, inkludert å bygge CKSK til et globalt digitalt konsulentselskap som betjener Fortune 500-organisasjoner. Hva var det som overbeviste deg om at datastyring, i stedet for kunstig intelligensmodeller selv, ville bli den avgjørende flaskehalsen for bedriftens kunstig intelligensadopsjon?

Jeg tilbrakte år med å bygge et digitalt konsulentselskap som betjente store bedrifter som Heineken, Sony og Pepsi under den digitale reklame- og sosiale medie-gullalderen. Gang på gang så jeg den samme mønsteret utspille seg. En kraftfull teknologi ankom, alle kapret den, og først når den var integrert i bedriften, kom regulatorne og satte opp retningslinjer rundt den, og lot overholdelseslagene håndtere konsekvensene. Ta GDPR, den første virkelige kraften mot hvordan selskaper bruker personlige data. Regulatorne grep bare inn etter at martech og sosiale medier allerede hadde gjort datainnsamling til ryggraden i deres forretningsmodeller. Det var åpenbart for meg at det samme mønsteret ville gjenta seg med kunstig intelligens.

Hva som bekreftet denne aningen jeg hadde, var det privatlivsrelaterte arbeidet jeg gjorde i Ethyca. Ved å bygge overholdelsessystemer for store bedrifter, innsett jeg at man kunne legge et lag rundt et selskaps data som vurderte hver forespørsel mot tre ting: hva dataene er, hva du har tillatelse til å gjøre med dem, og hva risikoen er hvis du gjør det. Arbeidet med dette gjorde den virkelige begrensningen åpenbar. Bedrifter har ikke mangelen på data. De har mangelen på et styringslag som dikterer hva data som er tillatt å bruke.

Over de siste årene har bedriftens kunstig intelligens gått fra enkle chatbots til autonome kunstig intelligensagenter som kan ta beslutninger og utføre handlinger. Hvordan har denne utviklingen endret styringsutfordringene organisasjonene står overfor, og hvorfor fungerer ikke tradisjonelle overholdelsesmetoder lenger?

Folk snakker om bedriftens kunstig intelligens og dens avkastning som om verdien kommer fra å bare koble en agent til arbeidsprosessene dine. I virkeligheten kommer verdien fra å koble agenten til en bred rekke systemer, så den kan syntetisere data og produsere utdata som ingen menneske kunne trekke sammen på samme tid. Tilgang til data er den virkelige flaskehalsen.

Fellen er at det samme som gjør en agent verdifullt, er det som gjør det risikabelt. Jo flere systemer du koble det til, jo mer data begynner å flyte fra en del av organisasjonen til en annen, og hver enkelt av disse strømmene blir en mulighet for data å havne på feil sted.

Hver enkelt av disse strømmene må sjekkes: er denne dataen tillatt å bruke på denne måten, for dette formålet, under privatlivsloven og vår egen politikk? Når det er et fåtall av disse beslutningene hver dag, kan en person manuelt ta hver avgjørelse. Når det er en kunstig intelligensagent som avfyrer tusenvis av forespørsler per sekund, blir det umulig for mennesker. Det er der tradisjonell overholdelse bryter sammen.

For at de skumle verdiene til store kunstig intelligensselskaper skal realiseres, må styringen flyttes til sanntid, i maskinens hastighet, i øyeblikket dataene tilgjengeliggjøres.

Ethyca lanserer Astralis som et styringslag for bedriftens kunstig intelligens. Hva var de spesifikke kundeutfordringene som ledet til skapingen av plattformen, og hvorfor er nå riktig tid å introdusere den?

Arbeidet med å rense data for kunstig intelligens skjer fortsatt på samme måte som det gjorde for privatliv i 2016, med mennesker som fyller ut skjemaer og kjører vurderinger manuelt. Den prosessen var allerede for langsom for vanlig privatlivsarbete, og mot volumet av kunstig intelligensbruk, har den ingen sjans. Det meste av hva som selges som kunstig intelligensstyring i dag, er de samme skjemaene og arbeidsprosessene med et “kunstig intelligens”-merke på det. Å fylle ut et skjema er ikke styring. Hva som mangler, er programvare som gjør styringsarbeidet selv, i stedet for å produsere en rekord av en persons manuelle arbeid. Det er hva vi bygget Astralis til å gjøre.

Etterspørselen vi responderer på, kommer fra team som har blitt bedt om å levere kunstig intelligens raskt og trygt, og de kan for øyeblikket ikke gjøre begge deler. Agenter går i produksjon raskere enn noe team kan holde tritt, og spørsmålet regulatorne stiller, har endret seg. Det var tidligere om de hadde en politikk. Nå er det om de kan demonstrere at politikken ble fulgt på en bestemt datapunkt, for et bestemt formål. De fleste selskaper kan svare på det første spørsmålet godt. Veldig få kan svare på det andre.

Gartner prognostiserer at den gjennomsnittlige Fortune 500-bedriften kan kjøre 150 000 kunstig intelligensagenter i 2028, opp fra bare 15 i 2025. Hvordan bør bedriftsledere tenke om styring i en verden der autonome agenter kan overgå antallet menneskelige ansatte som interagerer med data?

I 2028 vil agentene som berører et selskaps data overgå antallet ansatte som gjør det. Når aktørene som bruker dine data i stor grad er maskiner, hvem er ansvarlig? Den gamle modellen plasserer ansvar i den endelige menneskelige godkjenningen, men når de fleste av disse beslutningene hverken tas eller gjennomgås av en menneske, må ansvar flytte seg fra mennesker til systemer.

Bankvirksomheten gjorde denne bevegelsen for lenge siden. Vi stoler ikke på en bank fordi en kontorist teller sedler for hånd. Vi stoler på den fordi kontrollene er solide, og fordi det er mennesker som er ansvarlige for å holde dem på den måten. Datastyring må gjøre det samme. Beviset for at et selskap håndterer data ansvarlig, blir ikke at en person har gjennomgått det, men at systemet påtvinger politikken automatisk på hver enkelt bruk, og kan levere bevis for dette, så ansvar er innbygget. Det vil tillate bedriftsledere å fokusere på hva de er gode til: å anvende dømmekraft, å sette regler og å stå bak systemet.

Astralis kombinerer et stort språklig regulatorisk modell (LLRM) med formålbasert tilgangskontroll (PBAC). Kan du forklare hvordan disse to teknologiene arbeider sammen for å sikre at kunstig intelligenssystemer forstår ikke bare hvem som kan få tilgang til data, men også hvorfor de skal kunne få tilgang til det?

Tradisjonell tilgangskontroll sjekker hvem du er, og om din identitet lar deg berøre bestemt data.

Men privatliv er annerledes; det er ikke et spørsmål om hvem som kommer inn. En person kan være fullstendig autorisert til å berøre en datasett og likevel bruke den til noe de aldri fikk tillatelse til å gjøre. Spørsmålet som blir viktig, er hva dataene brukes til, og om formålet er tillatt. Det er hva PBAC besvarer og påtvinger.

Det vanskelige er at formål ikke er en teknisk faktum du kan lese av en database. Det avhenger av hva din forretning gjør, hva du har lovet kundene, og hva loven tillater. Det er hva LLRM er for. Det lærer hvordan din spesifikke forretning opererer, og arbeider gjennom reguleringene som gjelder for den. Utgangen er en tydelig bestemmelse av hva hver type data kan og ikke kan brukes til. PBAC påtvinger deretter denne bestemmelsen på tilgangspunktet. LLRM grunner, PBAC handler.

Din lanseringskunngjøring sier at kunstig intelligensvurderinger kan reduseres fra 40 til 60 timers manuelt arbeid til bare 20 til 40 minutter. Hva er de delene av dagens styringsprosess som er mest ineffektive, og hvor skaper automatisering de største gevinstene?

De fleste av disse 40 til 60 timene brukes ikke på noe som trenger menneskelig dømmekraft. De brukes på sammenstilling. Noen kartlegger dataene for hånd, holder dem i et regneark, og så jakter på kontekst over team. Når all dette er samlet inn, er den faktiske vurderingen, delen som trenger en person til å tenke, en liten del av arbeidet. Resten er et profesjonelt som en samler av informasjon som forretningen allerede har, bare det er spredt over team.

Frustrerende nok er det arbeid som aldri blir ferdig. En vurdering er et enkeltbilde, men kunstig intelligensbruk tilfeller stopper ikke. Nye dukker opp konstant, og hver enkelt trenger sin egen gjennomgang. Så den manuelle prosessen er ikke bare langsom en gang, men alltid bak på takten bedriften ønsker å flytte, og vil bli uoverkommelig når selskaper

Effektivitetsgevinstene kommer fra å endre hvem som gjør hva. Systemet trekker metadataene selv, så ingen må jage kontekst for hånd. Det presenterer bare spørsmålene en menneske kan faktisk svare på – de ekte dømmekraftene – i stedet for å la en person male gjennom felt en maskin kan fylle. Og revisjonsstien bygges selv mens vurderingen skjer, i stedet for at noen skriver den opp etterpå fra minne. Det er der 40 timer blir 40 minutter.

En av de mer slående påstandene er at en stor amerikansk finansiell institusjon prosesserer omtrent 6 000 styringsforespørsler per sekund gjennom Astralis. Hva lærer dette oss om fremtidens infrastrukturkrav for bedriftens kunstig intelligens?

Leksjonen er at styring ikke kan være et eget steg lenger. Ved 6 000 beslutninger per sekund, må det skje inne i datapaten selv, i samme hastighet som spørringene og modellene det styrer. For kunstig intelligens må styringen være infrastruktur: alltid på og alltid i linje, ikke en rapport produsert på siden. Det må være raskt, for hvis styringen er langsom, blir den det folk hopper over for å møte sine frister.

Kunstig intelligensregulering utvikler seg raskt over både USA og Europa. Hvordan bygger du en styringsplattform som kan tilpasse seg endringer i lovgivningen uten å tvinge bedrifter til konstante manuelle politioppdateringer?

Feilen de fleste overholdelsesverktøyene gjør, er å bake reglene inn i produktet, så når loven endrer seg, er du fanget i å vente på at leverandøren omkonstruerer verktøyet. Astralis er bygget til å fungere motsatt. På bunnen ligger et felles språk for å beskrive data og dens bruk, og det holder ingen regler i det hele tatt. Reglene sitter separat, i et politisk lag over det. LLRM leser reguleringen, arbeider ut hva den betyr for din spesifikke forretning, og skriver politikken deretter. PBAC påtvinger deretter denne politikken på tilgangspunktet – så en endring av reglene lar hele påtvingingsmekanismen være ubeskådet.

Når en ny regulering ankommer, kan all en bedrifts innsats gå til å arbeide ut hva den betyr for deres forretning; ingen av det går til å omkonstruere deres privatlivssystemer.

Mange ledere er bekymret for at uautoriserte kunstig intelligensagenter tar uautoriserte beslutninger eller får tilgang til følsom informasjon. Hvor realistisk er denne bekymringen i dag, og hva praktiske sikkerhetstiltak bør organisasjoner implementere før de distribuerer kunstig intelligensagenter i stor skala?

Det er fullstendig realistisk, og det skjer allerede. California bøtfalte Disney med 2,75 millioner dollar fordi deres systemer ikke kunne pålitelig påtvinge noe så grunnleggende som en kundes avmelding. I deres systemer forble en kunde som hadde avmeldt seg på en enhet, avmeldt på andre enheter, og nettleserbasert avmeldingsinstruksjoner ble ikke behandlet som gyldige forespørsler overhode. Den hendelsen ble ikke forårsaket av en agent som handlet uforutsigbart, men var i stedet et ganske enkelt hull mellom hva Disney fortalte kundene og hva deres systemer var i stand til å påtvinge.

Sikkerhetstiltakene som faktisk forhindrer dette, er ikke glamorøse: vite hva data du har og hva du har forpliktet deg til om det, og holde det hele på ett sted, fordi de fleste av disse feilene kommer fra at et teams løfte aldri når en annen teams database.

Om tre til fem år, hva tror du vil skille bedrifter som suksessfullt operationaliserer kunstig intelligens fra de som har kunstig intelligensinitiativer som forblir fastlåst i pilotprosjekter, og hva rolle vil styring spille i å skape denne konkurransefordelen?

Forskjellen vil komme ned til om et selskap har ett system for å styre all sin data, eller om de velger å lime styring på hvert enkelt database og team separat. Selskaper som fortsatt styrer sin data avdeling for avdeling, vil fortsette å treffen vegger, fordi kunstig intelligens når over avdelinger ved design. Hver bedrift blir fortalt å levere kunstig intelligens raskt og ikke havne i en regulators brev, og inntil nå har disse to trekt i motsatt retning. Den som løser begge, i stedet for å nøye seg med en, vil vinne tiåret.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, kan besøke Ethyca eller Astralis.